docs: describe read-only workspace runtime configuration

docs/install/psd-workspace-setup.md

@@ -7,18 +7,18 @@ v3 + `thothctl`).
 
 - **Repository PSD pubblicato:** `https://github.com/mptyl/tht-workspace-psd` (privato), branch
   `main`, commit `d4f9185`. Layout P1.1 già migrato e validato.
-- **Deploy key SSH** (read-write, senza passphrase) generata in
+- **Deploy key SSH** (sola lettura, senza passphrase) in
   `deploy/psd/secrets/git-ssh-key` e registrata sul repo come deploy key `thothii-psd`; il remote
   Git usato dall'installazione è `git@github.com:mptyl/tht-workspace-psd.git`.
 - **Config operatore pronta** (file reali gitignored in `deploy/psd/`): `operator.env`,
-  `workspace-bindings.env`, `thothii-installation.yaml`, `connector-secrets.yaml` e i secret
-  `secrets/` (API key DWH riusata, pi-auth, secret bundle, chiave SSH, known_hosts). Nessuna CA:
-  il DWH REST usa HTTPS pubblico (`THT_SSL_CA` era vuoto).
+  `thothii-installation.yaml` e i secret d'installazione in `secrets/` (pi-auth, secret bundle,
+  chiave SSH, known_hosts). L'API key DWH va completata nella gestione Workspace ed è conservata
+  nel vault cifrato del backend. Nessuna CA: il DWH REST usa HTTPS pubblico.
 - **Stack avviato** (progetto `thothii-70417a3e30ea`, via `thothctl start`): `qdrant`, `embedding`
   (con `qwen3-embedding:0.6b`), `core`, `frontend` sani. Il registry ha **clonato e attivato**
   `psd-clinical` (stato `ready`).
-- **`thothctl workspace inspect --workspace psd-clinical` = OK** (identità descrittore/catalogo/
-  config risolte con i bindings DWH).
+- **`thothctl workspace inspect --workspace psd-clinical` = OK** (identità descrittore/catalogo
+  risolte); la configurazione runtime va completata e testata dalla GUI.
 - **Bloccante residuo: VPN.** `supabase-aritmolab.policlinicosandonato.it` non risolve
   (`NXDOMAIN`) → il preprocessing DWH e le sessioni live non possono ancora partire.
 
@@ -49,6 +49,6 @@ Il preprocessing è già completato. Resta solo:
 ## Cosa è già stato fatto
 
 - Ristrutturazione del repo PSD nel layout P1.1 + validazione locale.
-- Pubblicazione GitHub + deploy key + config operatore completa (bindings/secret/override).
+- Pubblicazione GitHub + deploy key read-only + configurazione Git d'installazione.
 - Avvio stack + attivazione registry + `thothctl inspect` verde.
 - **Preprocessing live completato** su PSD: DWH → FK → schema → Evidence, idempotente.